[论文解读] ATTACK2VEC: Leveraging Temporal Word Embeddings to Understand the Evolution of Cyberattacks

Yun Shen, Gianluca Stringhini|arXiv (Cornell University)|May 29, 2019

Network Security and Intrusion Detection参考文献 45被引用 10

一句话总结

该论文提出 attack2vec，一种利用时间嵌入技术建模网络攻击步骤演变上下文的系统，将攻击活动中的安全警报序列视为句子，从而有效检测攻击策略的变化并识别频繁共现的漏洞，借助两年真实入侵防御系统（IPS）数据（每周超过1.9亿条警报）实现主动防御与态势感知的提升。

ABSTRACT

Despite the fact that cyberattacks are constantly growing in complexity, the research community still lacks effective tools to easily monitor and understand them. In particular, there is a need for techniques that are able to not only track how prominently certain malicious actions, such as the exploitation of specific vulnerabilities, are exploited in the wild, but also (and more importantly) how these malicious actions factor in as attack steps in more complex cyberattacks. In this paper we present ATTACK2VEC, a system that uses temporal word embeddings to model how attack steps are exploited in the wild, and track how they evolve. We test ATTACK2VEC on a dataset of billions of security events collected from the customers of a commercial Intrusion Prevention System over a period of two years, and show that our approach is effective in monitoring the emergence of new attack strategies in the wild and in flagging which attack steps are often used together by attackers (e.g., vulnerabilities that are frequently exploited together). ATTACK2VEC provides a useful tool for researchers and practitioners to better understand cyberattacks and their evolution, and use this knowledge to improve situational awareness and develop proactive defenses.

研究动机与目标

• 为解决现有工具在复杂网络攻击中缺乏对攻击步骤演变及其相互关系的监控能力的问题。
• 建模安全事件（如被利用的漏洞）随时间推移的上下文关系。
• 利用真实入侵防御系统（IPS）数据检测新兴攻击模式及攻击策略的变化。
• 通过识别攻击策略变更或趋于标准化的时机，支持主动防御。
• 通过攻击步骤共现的时间分析，提升态势感知能力并辅助攻击溯源。

提出的方法

• 将每个攻击活动中的安全警报序列视为一个“句子”，将单个警报视为“词”。
• 应用时间嵌入技术（如带有负采样的 skip-gram 模型）学习攻击步骤的低维向量表示。
• 利用每周对超过1.9亿条安全警报的快照，追踪嵌入关系随时间的变化。
• 将攻击步骤的上下文建模为与其在攻击序列中共同出现的其他步骤的集合。
• 利用嵌入空间中的向量相似性识别频繁共现的攻击步骤聚类。
• 检测嵌入关系的显著变化，以标记新兴或演化的攻击策略。

实验结果

研究问题

• RQ1 如何在真实环境中建模网络攻击步骤被利用时的演变上下文？
• RQ2 利用安全事件的时间嵌入，能否检测到随时间推移的攻击策略模式变化？
• RQ3 哪些漏洞或攻击步骤经常被一起利用，其共现关系如何演变？
• RQ4 时间嵌入能否检测到真实环境中新兴且已整合的攻击策略？
• RQ5 基于嵌入的分析如何在频率监控之外，提升主动防御与态势感知能力？

主要发现

• attack2vec 通过识别攻击步骤之间上下文关系随时间的变化，成功检测到攻击策略的演变。
• 该系统识别出频繁共同被利用的漏洞集群，揭示了常见的攻击模式。
• 在新攻击策略出现时能够及时预警，特别是当原本孤立的漏洞利用开始以一致序列共现时。
• 该方法利用涵盖两年时间、每周超过1.9亿条警报的真实IPS数据，有效建模了攻击活动的演变过程。
• 通过观察特定漏洞利用序列的稳定重复使用，该方法能提前检测到已整合进攻击工具包的标准化攻击。
• 该系统提供了一种可扩展、数据驱动的方法，用于超越简单警报频率的攻击演化监控，支持主动防御与更优的威胁情报。